Internacional
SonicWall confirma exploração ativa de duas vulnerabilidades zero-day na SMA 1000
A SonicWall lançou atualizações de emergência para dois zero-days que afetam a série SMA 1000, equipamentos VPN de acesso remoto usados por empresas. A CVE-2026-83548, com pontuação CVSS de 10.0, é uma falha de SSRF que não exige autenticação e dá acesso a funcionalidades sensíveis da interface Appliance Work Place. A segunda, CVE-2026-83549 (CVSS 7.8), permite injeção de comandos ao nível do sistema operativo depois de autenticação, na consola de gestão. A fabricante confirmou ter investigado um caso com indícios de exploração ativa, o que sugere que atacantes estão a encadear as duas falhas para obter execução remota de código em equipamentos vulneráveis.
A SonicWall recomenda atualização imediata para as versões corrigidas (12.4.3-03526 e 12.5.0-02952), além de reimagear os equipamentos afetados e repor todas as credenciais e tokens TOTP usados no acesso. Os modelos afetados são o 6210, 7210 e 8200v, em versões anteriores às corrigidas. Este ataque soma-se a uma exploração anterior da SonicWall pelo grupo UTA0533, em julho, que já tinha distribuído o malware KNUCKLEBALL através de outra falha na mesma linha de produtos.
Botnet Sality, ativa há mais de duas décadas, é desmantelada em operação internacional
Autoridades dos Estados Unidos, Bulgária, Hungria e Roménia, em conjunto com a CrowdStrike e a Shadowserver Foundation, desmantelaram a 31 de agosto a infraestrutura da botnet Sality, um malware autopropagável para Windows ativo desde 2003. A rede infetava máquinas através de partilhas de rede, dispositivos USB, sites comprometidos e anexos de email, e mantinha duas redes P2P paralelas e incompatíveis para resistir ao encerramento de servidores de comando e controlo tradicionais. No total, mais de 15 mil máquinas em todo o mundo estavam infetadas, operadas por um único agente de ameaça sediado na região russa do Bascortostão, que usava a rede sobretudo para distribuir o EggJagger, uma ferramenta de clipjacking que já rendeu pelo menos 150 mil dólares em criptomoeda desviada.
Para derrubar a rede, os investigadores recorreram à manipulação de listas de pares, a mesma técnica usada nos desmantelamentos das botnets GameOver Zeus e Kelihos. Como a Sality verifica os pares a cada 40 minutos e confia automaticamente em quem consta dessa lista, as autoridades substituíram nós legítimos por sinkholes construídos para o efeito, cortando o acesso dos operadores às máquinas infetadas sem necessitar de as limpar remotamente. A operação impede apenas a chegada de novos payloads. Quem suspeitar de estar infetado deve procurar tráfego UDP para o endereço de sinkhole 188.166.101.148 nos registos de rede e remover manualmente o malware já instalado.
Serviço na dark web coloca à venda mais de 153 milhões de cartas de condução dos EUA e Canadá
Um novo serviço criminoso batizado Nexus surgiu no fórum russo Exploit a 31 de agosto, com digitalizações de mais de 153 milhões de cartas de condução dos Estados Unidos e do Canadá, além de mais de 10 milhões de cartões de identificação, três milhões de documentos de viagem e quase 580 mil cartões médicos. O jornalista Brian Krebs identificou a origem dos dados ao cruzar as datas de digitalizações de conhecidos com as respetivas viagens e alugueres de automóveis, chegando à IDScan.net, empresa de verificação de identidade sediada em Nova Orleães que processa mais de 21 milhões de verificações por mês em mais de 20 mil locais em todo o mundo.
Entre os clientes da IDScan.net identificados no rasto da fuga estão a Hertz, a rede de dispensários Planet13, a Target, a FedEx, a Caesars Entertainment e a Jack Henry. O gabinete do FBI em Nova Orleães abriu uma investigação depois de ser informado de que Krebs estava a apurar o caso, e depois de descobrir que a carta de condução de um diretor-assistente do FBI constava do lote à venda. Pouco depois da publicação da investigação, o serviço Nexus desapareceu da dark web, substituído por uma mensagem a indicar que deixou de estar disponível.
Grupo pró-Ucrânia VantaCore usa ransomware próprio contra empresas russas
A empresa russa de cibersegurança F6 identificou um novo grupo de ransomware chamado VantaCore, ativo desde agosto, que já reivindicou ataques a pelo menos sete organizações russas através de um site de fugas de dados criado em junho. Os investigadores acreditam tratar-se de um rebranding do coletivo pró-Ucrânia Thor, ao qual a F6 atribuiu 12 ataques em 2025, com pedidos de resgate na ordem dos milhões de dólares. Ao contrário do Thor, que combinava extorsão com atividade destrutiva, o VantaCore parece focado sobretudo em obter lucro.
O grupo usa um arsenal próprio de ferramentas: o ransomware VantaCore para cifrar servidores e postos de trabalho, o VantaCoreLoader para distribuir malware pela rede, o VantaCoreRAT como backdoor de reconhecimento e execução remota de comandos, e o SnowKiller para desativar antivírus e outro software de segurança. Segundo a F6, o grupo opera como ransomware-as-a-service e explora VPN mal protegidas, falhas em aplicações expostas à internet e credenciais roubadas, métodos que os investigadores descrevem como eficazes mas pouco sofisticados.
Reino Unido prepara-se para poder bloquear fornecedores tecnológicos de alto risco em infraestruturas críticas
O governo britânico apresentou, a 24 de agosto, alterações de última hora ao Cyber Security and Resilience Bill, a caminho da aprovação final no Parlamento, que dão aos ministros poderes para restringir ou bloquear o uso de fornecedores tecnológicos considerados de alto risco por operadores de infraestruturas críticas. As alterações surgem poucos dias depois de um ataque ligado ao Irão ter deixado uma instalação energética britânica sem funcionar durante quatro dias, a 22 de agosto.
A proposta reflete uma preocupação crescente com ataques à cadeia de fornecimento, depois de estudos indicarem que 34% das organizações britânicas já registaram incidentes de segurança relacionados com fornecedores terceiros. A lógica é que atacantes raramente atacam diretamente organizações bem defendidas, preferindo entrar através de fornecedores mais pequenos ou prestadores de serviços geridos com controlos de segurança mais fracos. Depois de passar pela Câmara dos Lordes, o diploma deverá tornar-se a Cyber Security and Resilience Act, substituindo o atual regime de segurança de redes e sistemas de informação.
Portugal
Pacote npm com 150 mil downloads semanais comprometido em ataque à cadeia de fornecimento
Um pacote npm usado para gerar código de integração entre aplicações e APIs, com cerca de 150 mil transferências semanais, foi comprometido através da publicação de dez versões maliciosas a 28 de agosto. O código malicioso era executado durante a instalação e procurava tokens de acesso e outras credenciais em ficheiros, na memória de processos, em serviços de metadados de cloud e em variáveis de ambiente usadas em integração contínua.
Analistas da Socket.dev associaram o ataque à campanha Mini Shai-Hulud, que partilha semelhanças técnicas com incidentes anteriores na cadeia de fornecimento do npm. Além de roubar credenciais, o malware conseguia alterar workflows do GitHub Actions, monitorizar tokens em sistemas Unix e inserir comandos persistentes em assistentes de programação com IA, alargando o alcance do ataque a ambientes de desenvolvimento e sistemas automáticos de compilação usados por dezenas de milhares de utilizadores.
Também em destaque
Grupo iraniano Mirage Kitten usa testes de emprego falsos para instalar malware em candidatos
O grupo Mirage Kitten, ligado ao Irão e conhecido por atacar organizações no Médio Oriente e em África, criou perfis falsos de recrutadores no LinkedIn para atrair candidatos a vagas de engenharia com testes de programação a fingir ser legítimos, alojados na Amazon S3. O ficheiro de instruções dos testes proibia explicitamente o uso de ferramentas de IA para rever o código, alegadamente para evitar batota, mas na prática para dificultar a deteção do malware escondido nas dependências do projeto. É a primeira campanha conhecida do grupo a usar implantes em Node.js e JavaScript, depois de anos a recorrer sobretudo a malware em C, C++ e Go.
O teste distribuía dois tipos de malware. O NodeRabbit é um backdoor multiplataforma para Windows, Linux e macOS que comunica com infraestrutura alojada no Azure usando encriptação AES-256-GCM e inclui deteção de sandbox através da análise da memória, do número de núcleos do processador e do tempo de atividade do sistema. Uma das variantes do NodeRabbit chega a injetar uma extensão falsa do GitHub Copilot no Visual Studio Code e altera hooks do Git para se manter persistente. O segundo, o PollCat, imita um teste de programação com prazo limitado e pede um código de acesso de seis dígitos, mas começa a comunicar com o servidor de comando antes de a vítima introduzir qualquer credencial. As vítimas identificadas trabalhavam nos setores de fintech e aviação, no Egito, na Etiópia e no Afeganistão.
Pedro Tavares is a professional in the field of information security working as an Ethical Hacker/Pentester, Malware Researcher and also a Security Evangelist. He is also a founding member at CSIRT.UBI and Editor-in-Chief of the security computer blog seguranca-informatica.pt.
In recent years he has invested in the field of information security, exploring and analyzing a wide range of topics, such as pentesting (Kali Linux), malware, exploitation, hacking, IoT and security in Active Directory networks. He is also Freelance Writer (Infosec. Resources Institute and Cyber Defense Magazine) and developer of the 0xSI_f33d – a feed that compiles phishing and malware campaigns targeting Portuguese citizens.
Read more here.